La CNIL avait donné trois mois aux entreprises pour se mettre en règle avec sa recommandation sur les pixels de suivi dans les emails. Ce délai s’est achevé le 14 juillet. Rappel de ce qui change, concrètement.
Le compte à rebours est terminé
Publiée le 14 avril, la recommandation de la CNIL qualifie les pixels de suivi de traceurs au sens de l’article 82 de la loi Informatique et Libertés. Leur usage à des fins marketing, mesure du taux d’ouverture, personnalisation, scoring, activation cross-canal, suppose donc en principe le consentement préalable du destinataire, comme pour les cookies.
Pour ne pas bloquer du jour au lendemain les bases de contacts déjà constituées, la CNIL avait prévu une période de trois mois. Les entreprises pouvaient continuer à utiliser leurs pixels sur ces contacts historiques, à condition de les informer clairement et de leur donner la possibilité de s’y opposer, avant le 14 juillet.
Ce qui distingue les entreprises en règle de celles qui ne le sont pas
Pour les adresses collectées avant le 14 avril, la règle est simple : une information envoyée avant le 14 juillet, avec une option d’opposition, suffit à conserver le suivi des contacts qui n’ont pas exercé cette opposition. Pas de nouveau consentement à recueillir.
Pour les entreprises qui n’ont pas envoyé cette information dans les temps, la situation est différente. Le consentement doit désormais être recueilli de façon explicite, comme pour toute nouvelle collecte d’adresse. Sur ce point, la CNIL est claire : le silence ne vaut jamais consentement, l’absence de réponse équivaut à un refus.
La responsabilité de l’expéditeur, prestataires inclus
La CNIL rappelle qu’une plateforme d’emailing qui intègre un pixel pour le compte de ses clients, sans exploiter les données pour son propre compte, agit comme sous-traitante. Si elle réutilise ces données pour ses propres finalités, elle devient responsable conjointe du traitement. L’expéditeur, lui, reste dans tous les cas responsable de l’envoi et du contenu de ses campagnes, y compris lorsque l’insertion technique du pixel est confiée à un tiers.
Les usages qui restent exemptés
La recommandation maintient une exemption de consentement pour les pixels utilisés exclusivement à des fins de délivrabilité (repérer les adresses inactives, préserver la réputation des systèmes d’envoi) ou de sécurité, notamment pour l’authentification. Dès que les données issues de ces pixels servent à d’autres fins, personnalisation, mesure d’audience, ciblage, l’exemption tombe et le consentement redevient nécessaire.
